教廷官方祈禱應用程式 Click To Pray 的一個基本授權檢查缺失，令 719,517 個註冊帳戶的姓名、電郵地址、出生日期與所屬國家長期處於任何人都可以讀取的狀態。
安全研究員 BobDaHacker 早於 2026 年 1 月 3 日向 Pope’s Worldwide Prayer Network 旗下 9 個官方電郵地址發出通報，半年以來對方沒有任何回覆，漏洞在截稿時仍然生效。事件表面上是一間宗教機構的技術失誤，實際上直接指向所有持有客戶資料的企業共同面對的三個管理課題： API 的物件層授權設計、漏洞通報渠道的建制，以及愈來愈短的監管申報時限。
一個「加一減一」就能拿走全部資料的漏洞
Click To Pray 為每一個新帳戶編配順序的數字用戶編號，而 API 端點 GET api.clicktopray.org/user/users/{id} 在回應請求之前完全沒有驗證發出請求者是否該帳戶擁有者，任何人只要輸入一個有效的 5 位數字編號，伺服器就會交出對應帳戶的電郵、姓氏名字、國家、出生日期，以及帳戶是否已經刪除， BobDaHacker 形容整套攻擊手法只是把數字逐一遞增，加上系統沒有設定速率限制，一段簡短腳本就足以把全部帳戶抄走。
這種缺陷的正式名稱是 Insecure Direct Object Reference （IDOR）， API 安全領域稱之為 Broken Object Level Authorization 。 OWASP 在 2019 年與 2023 年兩個版本的 API Security Top 10 之中，都把它排在第 1 位，原因在於其利用門檻極低而且分佈極廣。
註冊流程的問題更加棘手： POST 端點在回應內容之中直接交還帳戶的 validation_hash ，而該組數值正是電郵驗證連結所用的 UUID ，任何人因此可以用別人的電郵地址開立帳戶，並在確認電郵送達收件箱之前完成驗證， BobDaHacker 亦發現 Click To Pray 發出的真實驗證電郵未能通過網域認證檢查，收件軟件直接把郵件標示為可能偽冒。真郵件看起來像釣魚郵件，攻擊者要炮製一封同樣「合格」的假郵件，門檻幾乎等於零。
低調帳戶背後的高值攻擊面
外洩的欄位看似基本，價值卻遠高於一般消費者名單，編號最前的一批用戶正是 Click To Pray 的職員帳戶，而角色欄位會直接顯示帳戶是否擁有管理權限，攻擊者可以憑此精準鎖定內部人員。用戶群本身同樣屬於高風險類別，大量長者信徒對任何與梵蒂岡有關的通訊抱有高度信任，一封聲稱教宗有急事相告的電郵足以令收件人立即點擊。即使只有 1% 用戶回應，亦代表超過 7,000 人可能因此蒙受金錢損失。
教廷相關網站的保安紀錄同樣值得企業參考， Anonymous 在 2012 年與 2015 年兩度令梵蒂岡網站短暫離線，網站在 2022 年再度中斷， Recorded Future 於 2020 年發表報告指中國曾嘗試入侵教廷系統， 2023 年更有主機會議機密文件存放於未設保護的雲端伺服器。單一漏洞屬於技術問題，多年重複出現同類問題則屬於管治問題。
通報後不作為加劇問題影響
對企業而言，這宗事故最值得借鏡的並非漏洞本身，而是通報之後的 6 個月空白， Click To Pray 沒有 security.txt ，沒有漏洞披露政策，沒有漏洞獎金計劃，研究員找不到任何一個保證有人閱讀的入口。企業要堵塞這個缺口，成本其實極低：在網域根目錄放置 security.txt ，公開一個專責信箱，訂明確認時間與修補時間的服務水平，並且指定資訊保安總監或資料保護總監為最終負責人。
財務角度同樣清晰， IBM 《Cost of a Data Breach Report 2025》顯示，全球資料外洩事故的平均成本為 444 萬美元（約港幣 3,463 萬元），客戶個人資料的每筆記錄成本為 160 美元（約港幣 HK$1,248），而事故的平均生命週期長達 241 天，當中 181 天用於偵測。這批數字說明，企業真正燒錢的環節是「沒有及早發現」，一個願意接收外部通報的信箱，回報率遠高於同等金額的偵測工具。
技術層面的補救方向同樣直接，開發團隊應該在每一個接受物件編號的 API 端點加入擁有權驗證，把順序編號改為不可預測的 UUID ，為讀取類端點設定速率限制與異常偵測，並且完整部署 SPF 、 DKIM 與 DMARC ，確保企業發出的真實電郵可以與偽冒郵件區分。
監管時鐘已經開始倒數
歐盟《Cyber Resilience Act》的申報責任由 2026 年 9 月 11 日起生效，製造商一旦知悉產品出現正遭利用的漏洞或嚴重保安事故，必須在 24 小時內發出預警， 72 小時內提交詳細通報，並在補救措施推出後 14 日內遞交最終報告。相關責任覆蓋早已投放歐盟市場的舊有產品，並且與 NIS2 及 GDPR 的申報要求並行，同一宗事故隨時觸發多條平行死線。
香港方面，現行《個人資料（私隱）條例》並無強制通報要求，私隱專員公署只以建議形式鼓勵資料使用者通報，惟政府與公署正全面檢討條例，方向包括設立強制性個人資料外洩通報機制、要求制訂資料保留時限政策，以及賦權專員判處行政罰款，自願安排預計不會長期維持。
API 數量的增長速度遠高於保安團隊的擴充速度，而自動化工具令批量掃描順序編號的成本近乎為零，同類漏洞的可暴露窗口只會愈收愈窄，要避免重蹈 Click To Pray 的覆轍，就要把漏洞接收與回應能力視為與財務內控同級的管治項目，而非工程團隊的內部事務。這宗事件的教訓相當直接：保護 71 萬人的資料，技術上只欠一句授權判斷，管理上卻欠一個肯回覆電郵的人。
來源：The Register
